Constrained Delegation
adDéfinition
Mécanisme de délégation Kerberos permettant à un service d'agir au nom d'un utilisateur uniquement pour des services spécifiquement autorisés via msDS-AllowedToDelegateTo.
Utilise S4U2Proxy pour la délégation et S4U2Self + S4U2Proxy pour la protocol transition. Un attaquant compromettant ce compte peut usurper l'identité de tout utilisateur (sauf Protected Users) auprès des services listés. Le SPN dans le ticket TGS n'est pas protégé cryptographiquement, permettant la modification du service cible.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis